KI-Kenn­zeich­nungs­pflicht nach dem EU AI Act

KI-Kennzeichnungspflicht

Welche Rechtsgrundlage gilt und seit wann? 

Die Kennzeichnungs- und Transparenzpflichten ergeben sich vor allem aus Artikel 50 der Verordnung (EU) 2024/1689, dem sogenannten EU AI Act. ie gelten seit dem 2. August 2026. Bei Verstößen gegen Artikel 50 können nach Artikel 99 Absatz 4 Buchstabe grundsätzlich Geldbußen von bis zu 15 Mio. Euro oder – bei Unternehmen – bis zu 3 % des weltweiten Gesamtjahresumsatzes des vorangegangenen Geschäftsjahres verhängt werden, je nachdem, welcher Betrag höher ist. Für KMU einschließlich Start-ups gilt als Obergrenze jeweils der niedrigere Betrag. 

Die Verordnung (EU) 2026/1744, der Digital-Omnibus zur KI, hat den EU AI Act nochmals geändert. Für die Kennzeichnungspflicht nach Artikel 50 Absatz 2 gilt eine begrenzte Übergangsfrist: Wurde ein generatives KI-System bereits vor dem 2. August 2026 in Verkehr gebracht oder in Betrieb genommen, muss dessen Anbieter die technische Markierungs- und Erkennungspflicht grundsätzlich erst ab dem 2. Dezember 2026 erfüllen. Die Übergangsfrist betrifft ausschließlich diese Anbieterpflicht, andere Transparenzpflichten aus Artikel 50 gelten seit dem 2. August 2026. Für die Offenlegungspflichten der Betreiber nach Artikel 50 Absatz 4 besteht keine entsprechende Übergangsfrist. 

Für Alt-Inhalte gilt eine wichtige Differenzierung: KI-generierte oder KI-manipulierte Outputs beziehungsweise Deepfakes, die vor dem 2. August 2026 erzeugt oder manipuliert wurden, müssen grundsätzlich nicht rückwirkend markiert oder gekennzeichnet werden. Bei Texten zu Angelegenheiten von öffentlichem Interesse kommt zusätzlich der Veröffentlichungszeitpunkt hinzu: Wurden sie zwar vor dem 2. August 2026 erzeugt oder manipuliert, aber erst an oder nach diesem Datum veröffentlicht, müssen sie gekennzeichnet werden, sofern keine Ausnahme wegen menschlicher Prüfung oder redaktioneller Kontrolle greift. Für bereits veröffentlichte Alt-Inhalte empfiehlt die EU-Kommission eine freiwillige Kennzeichnung, soweit dies ohne unverhältnismäßigen Aufwand möglich ist.

Das Wichtigste vorweg

Ist KI-generierter Inhalt immer zu kennzeichnen? 

Nein. Die europäische KI-Verordnung enthält für die sogenannten Betreiber von KI-Systemen keine allgemeine Pflicht, jeden mit KI erstellten oder bearbeiteten Inhalt sichtbar mit einem Hinweis zu versehen. So ist etwa die rein private, nicht berufliche Nutzung ausdrücklich ausgenommen. Bei beruflicher Nutzung kommt es auf Inhalt und Kontext an. Für Anbieter generativer KI-Systeme besteht dagegen grundsätzlich eine Pflicht zur maschinenlesbaren Markierung der von Artikel 50 Absatz 2 erfassten synthetischen Inhalte; auch hierfür gelten definierte Ausnahmen.

Was ist der Unterschied zwischen Anbietern und Betreibern von KI-Systemen? 

Anbieter sind Unternehmen, die generative KI-Systeme entwickeln und in Umlauf bringen. Betreiber hingegen sind Unternehmen, die solche Systeme einsetzen. 

Als Anbieter gilt, wer ein KI-System entwickelt oder entwickeln lässt und es unter dem eigenen Namen oder der eigenen Marke in Verkehr bringt beziehungsweise in Betrieb nimmt. Das kann auch Unternehmen außerhalb der EU betreffen, wenn die Outputs ihres Systems in der EU verwendet werden. 

Als Betreiber gilt, wer ein KI-System im Rahmen einer beruflichen Tätigkeit unter eigener Verantwortung verwendet. Ein Unternehmen, das etwa ein externes generatives KI-Tool für Blogbeiträge, Bilder, Videos oder Social-Media-Inhalte einsetzt, ist daher eindeutig als Betreiber einzustufen. Auch wenn beauftragte Agenturen oder Freelancer ein KI-System nutzen, kann das Unternehmen Betreiber bleiben und trägt weiterhin die Verantwortung dafür, was veröffentlicht wird.

Was müssen Anbieter generativer KI-Systeme technisch kennzeichnen – und wie? 

Anbieter generativer KI-Systeme haben dafür zu sorgen, dass die von Artikel 50 Absatz 2 erfassten synthetischen Audio-, Bild-, Video- und Textinhalte maschinenlesbar markiert und als KI-generiert oder KI-manipuliert erkennbar sind. Ausgenommen sind insbesondere Fälle standardmäßiger Bearbeitung, bei denen das KI-System nur eine unterstützende Funktion erfüllt oder die Eingabedaten beziehungsweise deren Semantik nicht wesentlich verändert. 

Diese Pflicht aus Artikel 50 Absatz 2 beinhaltet, dass die eingesetzten technischen Lösungen nach dem Gesetz, soweit technisch möglich, wirksam, interoperabel, robust und zuverlässig sind. Dabei sind Besonderheiten und Beschränkungen der verschiedenen Arten von Inhalten, die Umsetzungskosten und der Stand der Technik unter Bezugnahme auf einschlägige technische Normen zu berücksichtigen. 

Die Kennzeichnung von Anbieterseite muss für Menschen nicht sichtbar sein. Gemeint sind maschinenlesbare Herkunfts- oder Markierungsinformationen, die automatisiert ausgelesen und erkannt werden können. In der Praxis heißt das: Die Kennzeichnung steht nicht als sichtbarer Stempel im Bild, sondern steckt in auslesbaren Herkunftsdaten. Häufig genannt wird hier der C2PA-Standard der Coalition for Content Provenance and Authenticity.

Welche KI-generierten Inhalte sind sichtbar zu kennzeichnen? 

Artikel 50 Absatz 4 nennt zwei relevante Fallgruppen: Zum einen KI-generierte oder KI-manipulierte Bild-, Audio- oder Videoinhalte, die einen Deepfake darstellen. Zum anderen KI-generierte oder KI-manipulierte Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren.  

Für Texte enthält der EU AI Act eine wichtige Ausnahme: Eine sichtbare Kennzeichnung ist grundsätzlich nicht erforderlich, wenn eine qualifizierte menschliche Prüfung oder redaktionelle Kontrolle stattgefunden hat und eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung trägt. 

Diese Ausnahme gilt jedoch nicht für Deepfakes. Ein inhaltlich geprüfter Deepfake bleibt grundsätzlich offenlegungspflichtig, sofern keine besondere Regelung für künstlerische, satirische oder vergleichbare Inhalte greift. 

Wann gilt ein Bild, eine Audioaufnahme oder ein Video als Deepfake? 

Ein Deepfake ist ein mit künstlicher Intelligenz generierter oder mit künstlicher Intelligenz manipulierter Bild-, Ton- oder Videoinhalt, der wirklichen Personen, Gegenständen, Orten, Einrichtungen oder Ereignissen ähnelt und fälschlich als echt oder wahrheitsgemäß erscheinen kann. 

Nicht jedes KI-generierte Bild ist damit automatisch ein Deepfake. Entscheidend ist, ob der Inhalt eine reale oder plausibel reale Situation nachahmt und beim angesprochenen Publikum einen falschen Eindruck von Authentizität hervorrufen kann. Typische Beispiele sind ein künstlich erzeugtes Video einer realen Person mit einer nie getätigten Aussage oder ein fotorealistisches Bild einer Veranstaltung, die tatsächlich nicht stattgefunden hat.  

Eine erkennbar abstrakte oder fantastische Illustration ist dagegen anders zu beurteilen und fällt oftmals nicht unter die Kategorie Deepfake. Dennoch kann auch bei offensichtlich künstlerischen, etwa satirischen, oder fiktionalen Werken die Transparenzpflicht greifen. Die Kennzeichnung darf jedoch so gestaltet werden, dass sie die Darstellung oder den Genuss des Werks nicht unangemessen beeinträchtigt.

Wann müssen KI-generierte Texte gekennzeichnet werden? 

Ein durch künstliche Intelligenz generierter oder durch künstliche Intelligenz manipulierter Text ist nach Artikel 50 Absatz 4 offenzulegen, wenn er veröffentlicht wird, die Öffentlichkeit informieren soll und eine Angelegenheit von öffentlichem Interesse betrifft. 

Als Angelegenheiten von öffentlichem Interesse nennt die EU-Kommission beispielsweise Politik und demokratische Prozesse, öffentliche Sicherheit oder Gesundheit, Umwelt- und Verbraucherschutz sowie wirtschaftliche, rechtliche oder wissenschaftliche Entwicklungen, die Gegenstand einer öffentlichen Debatte sein können.  

Eine Kennzeichnung ist für solche Texte grundsätzlich nicht erforderlich, wenn der Text eine tatsächliche menschliche inhaltliche Prüfung oder redaktionelle Kontrolle durchlaufen hat und eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung trägt. 

Reine Produktbeschreibungen oder klassische Werbetexte sind dagegen nicht automatisch Texte zu Angelegenheiten von öffentlichem Interesse. Bei Aussagen zu Gesundheit, Sicherheit, Umwelt oder Verbraucherschutz kann dennoch eine gesonderte Prüfung erforderlich sein.

Wann gilt eine menschliche Prüfung bei KI-generierten Texten als ausreichend?

Eine reine Rechtschreib-, Grammatik- oder Stilkontrolle genügt nicht. Erforderlich ist eine tatsächliche inhaltliche Prüfung eines durch künstliche Intelligenz generierten Textes durch fachlich geeignete Personen oder eine redaktionelle Kontrolle.  

Für die inhaltliche Prüfung hat die prüfende Person über die dafür erforderlichen Kenntnisse und das fachliche Urteilsvermögen zu verfügen. Bei redaktioneller Kontrolle muss die verantwortliche Stelle befugt sein, den Text aus sachlichen Gründen zu genehmigen, zu ändern oder abzulehnen. Eine automatisierte Veröffentlichung oder eine lediglich formale Freigabe erfüllt diese Voraussetzung nicht. Zusätzlich muss eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung tragen, um den Transparenzpflichten zu genügen. 

Unternehmen sollten daher festlegen, wer KI-generierte Inhalte nach welchen Kriterien prüft und wie die Freigabe dokumentiert wird. Die finale Prüfung sollte nach der letzten wesentlichen KI-Bearbeitung erfolgen.

Transparenzpflicht: Wie muss eine KI-Kennzeichnung konkret aussehen? 

Die Information zum KI-generierten oder KI-manipulierten Inhalt muss klar und unterscheidbar und spätestens bei der ersten Exposition gegenüber dem Inhalt wahrnehmbar sein. Je nach Medium kann sie sichtbar, hörbar oder auf andere Weise unmittelbar zugänglich gemacht werden; dabei sind die einschlägigen Barrierefreiheitsanforderungen zu beachten. 

Bei Bildern und Videos bieten sich passende, direkt auf dem Bildausschnitt platzierte Hinweise an. Die EU stellt hier frei verfügbare Icons zur Verfügung. Bei Videos ist ebenfalls denkbar, die Kennzeichnung zu Beginn einzublenden und gegebenenfalls zusätzlich einzusprechen. Bei Audioinhalten ist ein regelmäßig hörbarer Hinweis empfehlenswert. 

Eine ausschließlich maschinenlesbare Markierung oder ein versteckter Metadateneintrag genügt für die Offenlegungspflicht des veröffentlichenden Unternehmens nicht. Auch ein allgemeiner Hinweis im Impressum oder auf einer separaten KI-Unterseite ersetzt eine erforderliche Kennzeichnung am konkreten Inhalt in der Regel nicht. 

Für die Umsetzung können Unternehmen die Leitlinien der EU-Kommission und den freiwilligen Code of Practice heranziehen. Beide enthalten auch praktische Hinweise zur Kennzeichnung, ersetzen aber keine Einzelfallprüfung.

KI-Kennzeichnungspflicht umsetzen: Die wichtigsten Schritte 

Für die Kennzeichnung definieren Unternehmen im Rahmen ihrer AI Governance am besten feste Zuständigkeiten und einen einheitlichen Prüfprozess. 

In der Praxis sollte der Prozess vier Schritte umfassen: 

• KI-Anwendungsfälle erfassen: Wo werden generative KI-Systeme für zu veröffentlichende Inhalte eingesetzt? 
• Verantwortlichkeiten und Freigabe festlegen: Wer prüft die erzeugten Inhalte und entscheidet, ob eine Kennzeichnung erforderlich ist? 
• Inhalte einordnen: Liegt ein Deepfake oder ein Text zu einer Angelegenheit von öffentlichem Interesse vor? 
• Entscheidungen dokumentieren: Welche KI wurde eingesetzt, wer hat geprüft und weshalb wurde gekennzeichnet oder auf eine Kennzeichnung verzichtet? 

Auch Agenturen, Freelancer und andere externe Dienstleister sind in diesen Prozess einzubeziehen. 

Als normativer Rahmen eignet sich insbesondere ISO/IEC 42001. Die Norm enthält Anforderungen an ein Managementsystem für Organisationen, die KI-Systeme entwickeln, bereitstellen oder nutzen. Dazu gehören unter anderem der Umgang mit KI-bezogenen Risiken und Chancen, Verantwortlichkeiten, betriebliche Prozesse, Überwachung und kontinuierliche Verbesserung. Eine Zertifizierung ersetzt dabei weder die rechtliche Einzelfallprüfung noch weist sie automatisch die Einhaltung von Artikel 50 nach.

KI-Kennzeichnungspflicht kurz zusammengefasst 

Wie die FAQs zeigen, hängt die Kennzeichnungspflicht stark vom Einzelfall ab, pauschale Antworten gibt es selten. Genau das macht ein internes Vorgehen so wichtig: Unternehmen sollten klare Zuständigkeiten definieren, wer KI-generierte Inhalte nach welchen Kriterien prüft, und wie diese Entscheidung dokumentiert wird.

Ein strukturierter Prüfprozess, wie im vorherigen Abschnitt beschrieben, unterstützt die rechtskonforme Umsetzung und schafft Nachvollziehbarkeit gegenüber Aufsichtsbehörden, Kunden und der eigenen Organisation. Wer diese Prozesse jetzt etabliert, kann sowohl die bereits durch den Digital-Omnibus geänderten Vorgaben als auch mögliche künftige Anpassungen strukturiert umsetzen.

Vertrauen und Expertise 

Unsere Texte und Broschüren werden ausschließlich von unseren Normexperten oder langjährigen Auditoren verfasst. Sollten Sie Fragen zu den Textinhalten oder unseren Dienstleistungen an unseren Autor haben, senden Sie uns gerne eine E-Mail: [email protected].

Hinweis: Wir verwenden aus Gründen der besseren Lesbarkeit das generische Maskulinum. Die Direktive schließt jedoch grundsätzlich Personen jeglicher Geschlechteridentitäten mit ein, soweit es für die Aussage erforderlich ist.